Linux命令02 - - iptables 防火墙策略管理工具

已于 2022-08-21 21:21:38 修改
阅读量1.1k 收藏 7
点赞数 1
分类专栏： Linux命令 文章标签： linux bash 运维
于 2022-08-19 12:46:52 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/szb521/article/details/126415217
版权

防火墙

1、iptables 命令

iptables是Linux上常用的防火墙软件，是netfilter项目的一部分。
基于内核级别的防火墙服务，对数据包进行过滤操作，拒绝掉危险的外部请求流量，保护内网的安全。iptables命令默认仅支持ipv4协议，如需ipv6协议支持需使用ip6tables命令。

man iptables    			基本用法帮助
man iptables-extensions    	模块拓展帮助文档
/usr/lib64/xtables/*.so		扩展模式

2、iptables 命令使用规范

iptables (选项) (参数) 

选项输入顺序：
iptables -t 表名 <-A/I/D/R> 规则链名 [规则号] <-i/o 网卡名> -p 协议名 <-s 源IP/源子网> --sport 源端口 <-d 目标IP/目标子网> --dport 目标端口 -j 动作

-t 表
-A 链
-s 源地址
-j 动作

在这里插入图片描述

（1）选项
-t, --table table 对指定的表 table 进行操作， table 必须是 raw， nat，filter，mangle
中的一个。如果不指定此选项，默认的是 filter 表。

（1）通用匹配：源地址目标地址的匹配

-p：指定要匹配的数据包协议类型；

-s, --source [!] address[/mask] ：把指定的一个／一组地址作为源地址，按此规则进行过滤。当后面没有 mask 时，address 是一个地址，比如：192.168.1.1；当 mask 指定时，可以表示一组范围内的地址，比如：192.168.1.0/255.255.255.0。

-d, --destination [!] address[/mask] ：地址格式同上，但这里是指定地址为目的地址，按此进行过滤。

-i, --in-interface [!] <网络接口name> ：指定数据包的来自来自网络接口，比如最常见的 eth0。注意：它只对 INPUT，FORWARD，PREROUTING 这三个链起作用。如果没有指定此选项， 说明可以来自任何一个网络接口。同前面类似，"!" 表示取反。

-o, --out-interface [!] <网络接口name> ：指定数据包出去的网络接口。只对OUTPUT，FORWARD POSTROUTING 三个链起作用。

（2）查看管理命令

-L, --list [chain] 列出链 chain 上面的所有规则，如果没有指定链，列出表上所有链的所有规则。

（3）规则管理命令

-A, --append chain rule-specification 在指定链 chain 的末尾插入指定的规则，也就是说，这条规则会被放到最后，最后才会被执行。规则是由后面的匹配来指定。

-I, --insert chain [rulenum] rule-specification 在链 chain 中的指定位置插入一条或多条规则。如果指定的规则号是1，则在链的头部插入。这也是默认的情况，如果没有指定规则号。

-D, --delete chain rule-specification -D, --delete chain rulenum 在指定的链chain 中删除一个或多个指定规则。

-R num：Replays替换/修改第几条规则

（4）链管理命令（这都是立即生效的）

-P, --policy chain target ：为指定的链 chain 设置策略 target。注意，只有内置的链才允许
有策略，用户自定义的是不允许的。

-F, --flush [chain] 清空指定链 chain 上面的所有规则。如果没有指定链，清空该表上所有链的所有规则。

-N, --new-chain chain 用指定的名字创建一个新的链。

-X, --delete-chain [chain] ：删除指定的链，这个链必须没有被其它任何规则引用，而且这条上必须没有任何规则。如果没有指定链名，则会删除该表中所有非内置的链。

-E, --rename-chain old-chain new-chain ：用指定的新名字去重命名指定的链。这并不会对链内部造成任何影响。

-Z, --zero [chain] ：把指定链，或者表中的所有链上的所有计数器清零。

-j, --jump target <指定目标> ：即满足某条件时该执行什么样的动作。target 可以是内置的目标，比如 ACCEPT，也可以是用户自定义的链。
-h：显示帮助信息；
（2）基础参数
-t<表>		指定要操纵的表
-p<协议>	指定要匹配的数据包的协议类型，如tcp,udp,icmp
-s<源地址>	指定要匹配的数据包的源IP地址/MASK，加叹号”!”表示除这个IP外。
-j<目标>	指定要跳转的目标
-A	在规则链的末尾加入新规则
-R	替换规则链中的相应条目
-L	显示规则链中的已有条目
-F	清除规则链中的现有条目
-P	定义规则链中的默认目标（策略）：iptables -P INPUT (DROP ACCEPT)
-I num 在规则链的头部加入新规则
-D num 删除某一条规则
-i<网络接口>	指定数据包进入本机的网络接口
-o<网络接口>	指定数据包离开本机做使用的网络接口
-c<包计数>	在执行插入、追加和替换操作时初始化包计数器和字节计数器
tcp协议的扩展选项：
	--dport num 	匹配目标端口号
	--sport num 	匹配来源端口号
-Z	清空规则链中的数据包计数器和字节计数器
-N	创建新的用户自定义规则链
-h	显示帮助信息

2、iptables 命令详解

防火墙策略：
1）所以通，是要全通，而堵，则是要选择
2）表”这个定义，来定义、区分各种不同的工作功能和处理方式。
常用功能：
	1. filter过滤功能：定义允许或者不允许的的策略，只能做在3个链上：INPUT ，FORWARD ，OUTPUT
	2. nat：定义地址转换的，也只能做在3个链上：PREROUTING ，OUTPUT ，POSTROUTING
	3. mangle功能:修改报文原数据，是5个链都可以做：PREROUTING，INPUT，FORWARD，OUTPUT，POSTROUTING
1）五链四表

规则链名包括(也被称为五个钩子函数（hook functions）)：
INPUT链 ：处理输入数据包。
OUTPUT链 ：处理输出数据包。
FORWARD链 ：处理转发数据包。
PREROUTING链 ：用于目标地址转换（DNAT）。
POSTOUTING链 ：用于源地址转换（SNAT）。

注意：规则的次序非常关键， 谁的规则越严格，应该放的越靠前 ，而检查规则的时候，是按照从上往下 的方式进行检查的。

表名包括：
filter ： 包过滤，用于防火墙规则
nat ： 地址转换，用于网关路由器。
raw ： 高级功能，如：网址过滤。
mangle ：数据包修改（QOS），用于实现服务质量。

动作包括：
ACCEPT ：接收数据包。
DROP ：丢弃数据包。
REDIRECT ：重定向、映射、透明代理。redirect
SNAT ：源地址转换。snat
DNAT ：目标地址转换。dnat
MASQUERADE ：IP伪装（NAT），用于ADSL。masquerade
LOG ：日志记录。

在这里插入图片描述

在这里插入图片描述

3、范例

1）查看已添加的规则
iptables -nvL --line-numbers
2）清空当前的所有规则和计数
1. iptables -F 	清空所有的防火墙规则
2. iptables -X 	删除用户自定义的空链
3. iptables -Z 	清空计数

在这里插入图片描述

3）配置允许ssh端口连接
1. iptables -A INPUT -s 192.168.1.0/24 -p tcp --dport 22 -j ACCEPT
	22为你的ssh端口
	-s 192.168.1.0/24表示允许这个网段的机器来连接，其它网段的ip地址是登陆不了你的机器
	-j ACCEPT表示接受这样的请求
4）允许本地回环地址可以正常使用
1. iptables -A INPUT -i lo -j ACCEPT
本地回环地址就是那个127.0.0.1，是本机上使用的,它进与出都设置为允许
2. iptables -A OUTPUT -o lo -j ACCEPT
5) 设置默认的规则及白名单
1. iptables -P INPUT DROP 		配置默认的不让进，不能随便设置
2. iptables -P FORWARD DROP 	默认的不允许转发
3. iptables -P OUTPUT ACCEPT 	默认的可以出去

配置白名单

1. iptables -A INPUT -p all -s 192.168.1.0/24 -j ACCEPT 	允许机房内网机器可以访问
2. iptables -A INPUT -p all -s 192.168.140.0/24 -j ACCEPT 	允许机房内网机器可以访问
3. iptables -A INPUT -p tcp -s 183.121.3.7 --dport 3380 -j ACCEPT 	允许 183.121.3.7 访问本机的3380端口
6）开启相应的服务端口
1.iptables -A INPUT -p tcp --dport 80 -j ACCEPT 		开启80端口，因为web对外都是这个端口
2. iptables -A INPUT -p icmp --icmp-type 8 -j ACCEPT 	允许被ping
3.iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT 已经建立的连接得让它进来
7） 保存规则到配置文件中
1.cp /etc/sysconfig/iptables /etc/sysconfig/iptables.bak 任何改动之前先备份，请保持
这一优秀的习惯
2. iptables-save > /etc/sysconfig/iptables
3. cat /etc/sysconfig/iptables
8）列出已设置的规则
iptables -L [-t 表名] [链名]
四个表名 raw ， nat ， filter ， mangle
五个规则链名 INPUT 、 OUTPUT 、 FORWARD 、 PREROUTING 、 POSTROUTING
filter表包含 INPUT 、 OUTPUT 、 FORWARD 三个规则链
1. iptables -L -t nat # 列出 nat 上面的所有规则
2. ^ -t 参数指定，必须是 raw， nat，filter，mangle 中的一个
3. iptables -L -t nat --line-numbers # 规则带编号
4. iptables -L INPUT
5. iptables -L -nv  查看，这个列表看起来更详细，一般-nvL
9）清除已有规则
1.iptables -F INPUT 	清空指定链 INPUT 上面的所有规则
2.iptables -X INPUT 	删除指定的链，这个链必须没有被其它任何规则引用，而且这条上必须没有任
何规则。
						如果没有指定链名，则会删除该表中所有非内置的链。
4. iptables -Z INPUT 	把指定链，或者表中的所有链上的所有计数器清零。
10）删除已添加的规则
1.添加一条规则，然后删除
	iptables -A INPUT -s 192.168.1.5 -j DROP
2.将所有iptables以序号标记显示，执行：
	iptables -L -n --line-numbers
3.比如要删除INPUT里序号为8的规则，执行：
	iptables -D INPUT 8
11）开放指定的端口
1.iptables -A INPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT 	允许本地回环接口(即运行本机访问本机)
2.
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT 	允许已建立的或相关连的通行
3. iptables -A OUTPUT -j ACCEPT 	允许所有本机向外的访问
4. iptables -A INPUT -p tcp --dport 22 -j ACCEPT 	允许访问22端口
5. iptables -A INPUT -p tcp --dport 80 -j ACCEPT 	允许访问80端口
6. iptables -A INPUT -p tcp --dport 21 -j ACCEPT 	允许ftp服务的21端口
7. iptables -A INPUT -p tcp --dport 20 -j ACCEPT 	允许FTP服务的20端口
8. iptables -A INPUT -j reject 		禁止其他未允许的规则访问
9. iptables -A FORWARD -j REJECT 	禁止其他未允许的规则访问
12） 屏蔽IP
1.iptables -A INPUT -p tcp -m tcp -s 192.168.0.8 -j DROP 屏蔽恶意主机（比如，192.168.0.8
2. iptables -I INPUT -s 123.45.6.7 -j DROP 		屏蔽单个IP的命令
3.iptables -I INPUT -s 123.0.0.0/8 -j DROP 		封整个段即从123.0.0.1到123.255.255.254的命令
4.iptables -I INPUT -s 124.45.0.0/16 -j DROP 	封IP段即从123.45.0.1到123.45.255.254的命令
5.iptables -I INPUT -s 123.45.6.0/24 -j DROP 	封IP段即从123.45.6.1到123.45.6.254的命令是
13）指定数据包出去的网络接口
只对 OUTPUT，FORWARD，POSTROUTING 三个链起作用。
iptables -A FORWARD -o eth0
14) 启动网络转发规则
公网 210.14.67.7 让内网 192.168.188.0/24 上网
iptables -t nat -A POSTROUTING -s 192.168.188.0/24 -j SNAT --to-source
210.14.67.127
15) 端口映射
本机的 2222 端口映射到内网 虚拟机的22 端口
iptables -t nat -A PREROUTING -d 210.14.67.127 -p tcp --dport 2222 -j DNAT --to-dest 192.168.188.115:22
16) 字符串匹配
比如，我们要过滤所有TCP连接中的字符串 test ，一旦出现它我们就终止这个连接,我们可以这么做
1.iptables -A INPUT -p tcp -m string --algo kmp --string "test" -j REJECT --reject-with tcp-reset
2. iptables -L
17) 阻止Windows蠕虫的攻击
iptables -I INPUT -j DROP -p tcp -s 0.0.0.0/0 -m string --algo kmp --string "cmd.exe"
18) 防止SYN洪水攻击
iptables -A INPUT -p tcp --syn -m limit --limit 5/second -j ACCEPT
19) 修改默认规则
[root@ly sysconfig]# iptables -nvL --line-number
Chain INPUT (policy DROP 552 packets, 40785 bytes)
[root@ly sysconfig]# iptables -P INPUT ACCEPT  # 修改默认规则为访问

4、iptables-restore–还原/iptables-save–保存

/usr/sbin/iptables-restore
/usr/sbin/iptables-save
沙大斌
关注
专栏目录
全网超详细的Linux iptables命令详解以及详解iptables-save和iptables-restore命令
念兮为美
02-21 4598
全网超详细的Linux iptables命令详解，详解iptables-save和iptables-restore命令，防火墙的备份与删除，iptables的四表——filter表(过滤规则表)，nat表(地址转换规则表)，mangle表(修改数据标记位规则表)，raw表(跟踪数据表规则表)和五链——input，output，forward，preRouting，postRounting， iptables语法格式，ChatGPT的详细介绍等
48、防火墙简介（一）----iptables防火墙
qq_52901912的博客
03-04 410
一、iptables防火墙 1、iptables概述 Linux系统的防火墙：IP信息包过滤系统，它实际上由两个组件 netfilter 和 iptables 组成 主要工作在网络层，针对IP数据包。体现在对包内的IP地址、端口等信息的处理上。 2、netfilter 和 iptables [外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-BjlbMomP-1646408827163)(C:\Users\XTC\AppData\Roaming\Typora\typora-us
【github开源】Linux iptables 界面化 分布式 管理平台 go vue，底座firewalld
期待幸福
04-23 1054
基于firewalld底座的iptables UI平台
Linux-------iptables防火墙管理工具
Z_Grant的博客
07-26 952
文章目录一，基础概念1.1防火墙的一些名词解释（针对iptables）1.2防火墙管理工具1.3 防火墙工作流程1.4 iptables防火墙构成1.5 iptables中基本的参数 一，基础概念 1.1防火墙的一些名词解释（针对iptables） 相较于内网，外部公网环境更加恶劣，罪恶丛生。在公网与内网之间充当保护屏障的防火墙，虽然有软件或硬件之分，但主要功能都是依据策略对穿越防火墙自身的流...
firewalld中drop、reject、accept规则详解
最新发布
weixin_53389944的博客
09-10 428
（丢弃）：当数据包与规则匹配时，防火墙会默默地丢弃该数据包，不给予任何响应或错误消息。对外部攻击者而言，这种行为通常被认为是目标不存在或不可达的信号，使得攻击者无法确定目标是否存在。（拒绝）：当数据包与规则匹配时，防火墙会向发送者发送一个错误消息，告知数据包被拒绝。这种行为通常用于明确告诉发送者目标是存在的，但是由于某种原因被拒绝了，例如端口被关闭或协议不允许。（接受）：当数据包与规则匹配时，防火墙会允许该数据包通过并交给目标主机进行处理。根据具体的需求，您可以选择适合的操作动作来定义您的防火墙规则。
Linux iptables工具
fhzmWJ的博客
03-17 195
目录Linux防火墙基础iptables防火墙策略 Linux防火墙基础 Linux中，防火墙是链型的。一个表就是一套链。数据包在Linux网络子系统的各部分移动时，内核就会对包应用某套规则。 例如，从物理层接收到一个新的包之后，内核就会根据输入的数据激活对应的规则。这些数据由内核来维护，整系统叫做iptables。 还有一个叫nfttables的新系统，用于取代iptables 规则表有很多，表里的规则也有很多。 filter表，控制基本的包流动，该表里有三个基本的链：包输入INPUT、包输出OUTP
基于linux下的iptables策略管理服务
wangkana的博客
06-14 1084
首先，请允许我先介绍一下什么是iptables? iptables 并不是真正的防火墙，可以理解为一个客户端代理。用户通过iptables这个代理，将用户的安全设定执行到对应的“安全框架”（netfilter）.所以说，iptables其实是一个命令行工具，位于用户空间，我们用iptables操作整整的框架。 iptables是按照规则办事的，即rules，规则一般制订了源地址、目的...
iptables全攻略
程序老兵的博客
02-18 1070
前言     防火墙，其实说白了讲，就是用于实现Linux下访问控制的功能的，它分为硬件的或者软件的防火墙两种。无论是在哪个网络中，防火墙工作的地方一定是在网络的边缘。而我们的任务就是需要去定义到底防火墙如何工作，这就是防火墙的策略，规则，以达到让它对出入网络的IP、数据进行检测。     目前市面上比较常见的有3、4层的防火墙，叫网络层的防火墙，还有7层的防火墙，其实是代理层的网关。
Linux下iptables防火墙策略管理
weixin_45792518的博客
03-22 1232
1.防火墙的介绍 防火墙就是一个位于计算机和它所连接的网络之间的软件。该计算机流入流出的所有网络通信均要经过此防火墙。广义来说，只要能够分析与过滤进出管理网段的数据包数据，就可以称为防火墙。 防火墙最大的功能就是帮助用户限制某些服务的存取来源。防火墙最主要的功能是： ·限制文件传输服务（FTP）只在子网段内的主机之间使用，而不对整个Internet开放。 ·限制整台Linux主机仅可以接受客户端...
Linux防火墙--IPtables配置策略思路
「 虚幻私塾」
01-12 498
Python微信订餐小程序课程视频 https://edu.csdn.net/course/detail/36074 Python实战量化交易理财系统 https://edu.csdn.net/course/detail/35475阅读目录 一、防火墙简介 二、IPtables介绍 三、iptables包过滤流程 iptables工作流程 四、iptables的4表5链作用关系及工作原理 1.tables四表的作用 2.chains链的作用 五、iptables安装 1.关闭selinux
linux 防火墙管理工具-- iptables基础知识
wdwangye的博客
05-01 1202
iptables 定义：iptables并不是只防火墙，而是一种客户端工具。用户通过这个客户端（iptables）将用户的安全设定执行到对应的“安全框架”中。这个安全框架才是真正的防火墙。框架名字叫netfilter。 就是通过iptables来操作netfilter。 规则(Rules) 规则就是网络管理员预定义的条件。规则一般的定义为“如果数据报头符合这样的条件，就这样处理这个数据包“”...
iptables
有生之年
08-13 1423
iptables iptables是linux上常用的防火墙软件，是netfilter项目的一部分。 策略（通/堵） 默认策略：拒绝所有数据包从入口方向进入 通：默认“门“关闭，须指定谁能进。 堵：默认“门”开启，须持有身份认证才可进入。 通，是要全通，堵，是要选择。 定义策略时，分别要定义多条功能。 安装 #yum install iptables iptab...
iptables学习
风小猪的博客
11-05 493
Linux 的包过滤功能，即 Linux 防火墙，它由netfilter和iptables两个组件组成。filter：iptables 的默认表。负责过滤功能、防火墙，也就是由 filter 表来决定一个数据包是否继续发往它的目的地址或者被丢弃。对应的内核模块为 iptables_filter。。nat：nat 是 network address translation 的简称，具备网络地址转换的功能。对应的内核模块为 iptables_nat。
学习如何使用iptables命令配置防火墙安全策略
qq_45364825的博客
01-06 1820
如何利用iptables配置防火墙安全策略
iptables的使用
qq_61114906的博客
05-19 437
4. 允许特定端口的流量：`iptables -A INPUT -p <协议> --dport <端口号> -j ACCEPT`6. 阻止特定端口的流量：`iptables -A INPUT -p <协议> --dport <端口号> -j DROP`iptables -A INPUT -s <IP地址> -p tcp --dport <端口号> -j ACCEPT。3. 允许特定IP地址的流量：`iptables -A INPUT -s <IP地址> -j ACCEPT`
Linux(centOS) IPV6的开启、设置
myKernel
01-11 1万+
CentOS 环境下 IPv6设置方法： 1）/etc/sysconfig/network  打开/关闭网络配置 添加： NETWORKING_IPV6=yes  打开IPv6 IPV6_AUTOCONF=no        不自动获取地址，即：设置"no” 2) /etc/sysconfig/network-scripts/ifcfg-eth0   配置IP/IPv6地址，网关等
iptables概念与操作
shay的博客
04-17 395
基本概念 有一些同学知道，linux除了防火墙firewell以外，还有一个iptables可以实现对服务器端口访问的限制 那iptables是啥呢 iptables其实不是真正的防火墙，我们可以把它理解成一个客户端代理，用户通过iptables这个代理，将用户的安全设定执行到对应的”安全框架”中，这个”安全框架”才是真正的防火墙，这个框架的名字叫netfilter iptables其实是一个命令行工具，位于用户空间，我们用这个工具操作真正的框架 netfilter/iptables（下文中简称为iptab
iptables命令详解和举例（完整版）
热门推荐
09-07 4万+
1、防火墙概述 防火墙，其实说白了讲，就是用于实现Linux下访问控制的功能的，它分为硬件的或者软件的防火墙两种。无论是在哪个网络中，防火墙工作的地方一定是在网络的边缘。而我们的任务就是需要去定义到底防火墙如何工作，这就是防火墙的策略，规则，以达到让它对出入网络的IP、数据进行检测。 目前市面上比较常见的有3、4层的防火墙，叫网络层的防火墙，还有7层的防火墙，其...
用iptables-save 和 iptables-restore开放端口
weixin_43326122的博客
05-15 893
# 生成配置文件 /usr/sbin/iptables-save > /etc/sysconfig/iptables-config # iptables-config包含五部分 nat, mangle, security, raw, filter # vi /etc/sysconfig/iptables-config # 在filter部分的最后加入 -A IN_public_allow -p tcp -m tcp --dport {{开放端口}} -m conntrack --ctstate NE
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值